EuGH entscheidet: Deutsche Regelungen zum Arbeitnehmerdatenschutz stehen nicht im Einklang mit den Anforderungen der DS-GVO

Nach § 26 Abs. 1 BDSG dürfen personenbezogene Daten verarbeitet werden, wenn dies für die Begründung, Durchführung oder Beendigung eines Arbeitsverhältnisses oder zur Ausübung oder Erfüllung weiterer arbeitsrechtlicher Rechte und Pflichten erforderlich ist. Der EuGH hat entschieden, dass es sich dabei um keine speziellere Norm im Sinn des Art. 88 DSGVO handelt und § 26 BDSG deshalb nicht mehr zur Anwendung kommt. Es gelten damit die allgemeinen Rechtsgrundlagen der DSGVO auch im Arbeitsverhältnis, insbesondere Art. 6 Abs. 1 S. 1 lit. b) DSGVO für Verarbeitungen, die im Rahmen des Beschäftigungsverhältnisses erforderlich sind.

Hintergrund

Seinen Ursprung hat das Urteil in einem Rechtsstreit aus Zeiten der Corona-Pandemie. Wegen Corona wurde in Hessen der Schulunterricht per Video Livestream durchgeführt. Die Einwilligung der Schüler bzw. deren Eltern wurde eingeholt - die "Einwilligung" der Lehrer - so dachte das Hessische Kultusministerium, benötige man nicht, denn das Lehrerkollegium stehe ja in einem Beschäftigungsverhältnis mit der Schule. Denklogisch stützte man sich dabei auf § 23 Abs. 1 S. 1 des hessischen Datenschutzgesetzes (HDSIG), wonach personenbezogene Daten von Beschäftigten z.B. dann verarbeitet werden, wenn dies für die Begründung oder Durchführung des Beschäftigungsverhältnisses erforderlich ist.

Öffnungsklausel nach Art. 88 DSGVO

Das Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium sah das anders und erhob kurzerhand Klage gegen den Minister des Hessischen Kultusministeriums vor dem Verwaltungsgericht Wiesbaden. Gerügt wurde, dass für den Livestream-Unterricht per Videokonferenz nicht die Einwilligung der betroffenen Lehrkräfte eingeholt worden war.

Das Verwaltungsgericht Wiesbaden führt zu dieser Rüge aus, dass seiner Ansicht nach § 23 HDSIG und § 86 HBG nach dem Willen des hessischen Landesgesetzgebers in die Kategorie der "spezifischeren Vorschriften" fielen. Das bedeutet, dass die DSGVO mit sogenannten "Öffnungsklauseln" bei bestimmten Bestimmungen den EU-Mitgliedsstaaten den Raum lässt, ihren länderspezifischen und nationalen Besonderheiten Rechnung zu tragen, indem nationale "spezifischere" (also zusätzliche, strengere oder einschränkende) nationale Vorschriften die DSGVO ergänzen können. Der deutsche Gesetzgeber hat mit § 23 HDSIG von einer solchen Öffnungsklausel des Art. 88 Abs. 1 DSGVO und damit der Möglichkeit Gebrauch gemacht, für den Beschäftigtendatenschutz spezifischere Regelungen zu treffen, die den nationalen Besonderheiten des Arbeitgebers Rechnung tragen sollen.

Zweifel des VG Wiesbaden erweisen sich als richtig

Das Verwaltungsgericht Wiesbaden hatte jedoch Zweifel an der Vereinbarkeit von § 23 Abs. 1 Satz 1 HDSIG und § 86 Abs. 4 HBG mit den Anforderungen von Art. 88 Abs. 2 DSGVO und setzte daher vor diesem Hintergrund das Verfahren aus, um dem Europäischen Gerichtshof folgende Fragen zur Vorabentscheidung vorzulegen:

1. Muss eine Rechtsvorschrift, die vermeintlich eine "spezifischere" Landesvorschrift darstellen soll, die nach Art. 88 Abs. 2 DSGVO gestellten Anforderungen erfüllen?
    
2. Kann eine nationale Norm, wenn diese die Anforderungen nach Art. 88 Abs. 2 DSGVO offensichtlich nicht erfüllt, trotzdem noch anwendbar bleiben?

Der EuGH bestätigt die Zweifel des VG Wiesbaden. Der Europäische Gerichtshof stellte mit Urteil vom 30. März 2023 die Europarechtswidrigkeit des Art. 23 Abs. 1 des HDSIG fest (vgl. EuGH, Urteil v. 30. März 2023 – C-34/21). Damit dürfte auch die nahezu identisch formulierte zentrale Bundesnorm des § 26 Abs. 1 S. 1 BDSG europarechtswidrig sein.

Im Ergebnis hat der EuGH entschieden, dass es sich bei Art. 23 Abs. 1 HDSIG um keine speziellere Norm im Sinn des Art. 88 DSGVO handelt. Art. 6 Abs. 1 S. 1 lit. b) DSGVO ist daher die Rechtsgrundlage für Verarbeitungen, die im Rahmen des Beschäftigungsverhältnisses erforderlich sind.

Nach dem EuGH unterscheiden sich § 23 HDSIG und damit auch § 26 BDSG nicht von den allgemeinen Regeln der DSGVO

Um als "spezifischere Vorschrift" im Sinne von Art. 88 Abs. 1 DSGVO eingestuft werden zu können, muss eine Rechtsvorschrift laut dem Urteil des EuGH die Vorgaben von Art. 88 Abs. 2 DSGVO erfüllen. Wie der Generalanwalt bereits in seinen Schlussanträgen festgestellte, scheinen jedoch Bestimmungen wie § 23 Abs. 1 HDSIG und § 86 Abs. 4 HBG, die die Verarbeitung personenbezogener Beschäftigtendaten davon abhängig machen, dass diese zu bestimmten Zwecken im Zusammenhang mit der Durchführung eines Beschäftigungs- bzw. Dienstverhältnisses erforderlich sein muss, die bereits in Art. 6 (1) lit. b DSGVO aufgestellte Bedingung für die allgemeine Rechtmäßigkeit der Verarbeitung zu wiederholen, ohne eine spezifischere Vorschrift im Sinne von Art. 88 Abs. 1 DSGVO hinzuzufügen.

Im Ergebnis urteilte der EuGH damit, dass nationale Rechtsvorschriften im Beschäftigungskontext unangewendet bleiben müssen, wenn sie nicht die in ebendiesem Art. 88 Abs. 1 und 2 vorgegebenen Voraussetzungen und Grenzen beachten.

Fazit und Folgen für die Praxis: Was Unternehmen künftig beachten müssen

Die Entscheidung hat in der Regel praktische Auswirkungen auf das Führen Ihres Verarbeitungsverzeichnisses. Wenn Sie in Ihrem Verarbeitungsverzeichnis Verarbeitungen auf § 26 Abs. 1 BDSG stützen, müssen Sie folgendes beachten:

Ist die entsprechende Verarbeitung für das Beschäftigungsverhältnis in irgendeiner Form erforderlich (z.B. Speicherung von Bankdaten zur Zahlung des Gehalts etc.), dann ist die neue Verarbeitung ab jetzt in der Regel auf Art. 6 Abs. 1 S. 1 lit b) DSGVO anstelle von § 26 Abs. 1 BDSG zu stützen.

Zudem sollten Sie Ihre Datenschutzhinweise für Mitarbeitende überprüfen. Sofern Sie darin auf § 26 Abs. 1 BDSG Bezug genommen haben, sollte die Rechtsgrundlage hin zu Art. 6 Abs. 1 S. 1 lit. b) DSGVO geändert werden.

Wie geht es weiter: Das Bundesministerium des Innern und für die Heimat (BMI) und das Bundesministerium für Arbeit und Soziales (BMAS) sind derzeit ohnehin am Zug, neue Regelungen im Beschäftigtendatenschutz zu schaffen und haben auch bereits konkrete Vorschläge erarbeitet. Die Ausführung und Umsetzung bleibt abzuwarten.

WTS-Legal Rechtsanwaltsgesellschaft mbH wird Sie informieren.